如何在IS4调用Web API场景下静态声明HttpClient并安全设置Bearer Token？

完全理解你的顾虑——IdentityServer4官网的示例为了演示简洁，确实采用了每次请求新建HttpClient的方式，但在高并发场景下这绝对是个隐患：频繁创建/销毁HttpClient会耗尽TCP连接池，导致请求延迟飙升甚至失败。复用HttpClient是正确的方向，至于你担心的Token复用问题，我们有几种成熟的解决方案，分情况给你说：

一、推荐方案：使用HttpClientFactory（.NET Core+的最佳实践） #

这是微软官方推荐的HttpClient管理方式，完美解决复用和动态Token的问题，还能自动处理连接池、DNS更新等底层细节。

核心思路是通过自定义DelegatingHandler，在每次请求发送前动态注入当前请求的Bearer Token，而不是修改HttpClient的默认头：

1. 先写一个自定义的Token处理类：

public class TokenHandler : DelegatingHandler
{
    private readonly IHttpContextAccessor _httpContextAccessor;

    public TokenHandler(IHttpContextAccessor httpContextAccessor)
    {
        _httpContextAccessor = httpContextAccessor;
    }

    protected override async Task<HttpResponseMessage> SendAsync(
        HttpRequestMessage request, CancellationToken cancellationToken)
    {
        // 从当前HttpContext获取用户的AccessToken（根据你的实际存储方式调整）
        var token = await _httpContextAccessor.HttpContext?.GetTokenAsync("access_token");
        
        if (!string.IsNullOrEmpty(token))
        {
            request.Headers.Authorization = new AuthenticationHeaderValue("Bearer", token);
        }

        return await base.SendAsync(request, cancellationToken);
    }
}

2. 在Startup/Program.cs里注册HttpClient和Handler：

// 注册IHttpContextAccessor（如果还没注册）
services.AddHttpContextAccessor();
// 注册自定义Handler
services.AddTransient<TokenHandler>();
// 注册带Token处理的HttpClient
services.AddHttpClient("MyApiClient")
        .AddHttpMessageHandler<TokenHandler>();

3. 使用的时候直接注入IHttpClientFactory，获取实例发送请求即可：

private readonly IHttpClientFactory _httpClientFactory;

public MyService(IHttpClientFactory httpClientFactory)
{
    _httpClientFactory = httpClientFactory;
}

public async Task CallApi()
{
    var client = _httpClientFactory.CreateClient("MyApiClient");
    var response = await client.GetAsync("https://your-api-url/data");
    // 处理响应...
}

这种方式下，每次请求的Token都是从当前上下文动态获取的，完全不会出现复用问题，而且HttpClient的生命周期由Factory管理，不用担心资源泄漏。

二、如果坚持用静态HttpClient（不推荐，但可实现） #

如果因为某些原因必须用静态HttpClient，绝对不能用SetBearerToken——因为这个方法会修改HttpClient的DefaultRequestHeaders，而静态HttpClient是全局共享的，这会导致后续所有请求都带上最后一次设置的Token，完全混乱。

正确的做法是每次请求都创建独立的HttpRequestMessage，手动添加Authorization头，示例代码：

// 静态HttpClient声明（只初始化一次）
private static readonly HttpClient _staticHttpClient = new HttpClient();

public async Task CallApiWithStaticClient(string currentToken)
{
    var request = new HttpRequestMessage(HttpMethod.Get, "https://your-api-url/data");
    // 手动给当前请求加Token，不修改HttpClient的默认头
    request.Headers.Authorization = new AuthenticationHeaderValue("Bearer", currentToken);
    
    var response = await _staticHttpClient.SendAsync(request);
    // 处理响应...
}

这样每个请求的Token都是独立的，不会互相干扰。但要注意：静态HttpClient可能会遇到DNS缓存过期的问题（因为底层的HttpMessageHandler默认不会更新DNS），如果你的API域名可能变动，还是推荐用HttpClientFactory。

关键提醒 #

永远不要修改复用的HttpClient的DefaultRequestHeaders（包括用SetBearerToken），因为这些头会被所有共享该HttpClient的请求继承，轻则导致Token串用，重则引发安全问题——比如用户A的请求带上了用户B的Token。

内容的提问来源于stack exchange，提问作者Velicu Bogdan